Ambienti cloud AWS

Questo articolo illustra come configurare l’account AWS come posizione delle risorse da utilizzare con Citrix Virtual Apps and Desktops. La posizione delle risorse viene utilizzata per il provisioning dei carichi di lavoro in AWS EC2 e nelle istanze gestite di Amazon WorkSpaces Core. Per l’elenco dei tipi di sistema operativo supportati per le istanze gestite di Amazon WorkSpaces Core, vedere VDA nelle istanze gestite di Amazon WorkSpaces Core.

Confronto tra diverse posizioni delle risorse configurabili: MCS per AWS EC2, MCS per istanze gestite di Amazon WorkSpaces Core e Quick Deploy per bundle di Amazon WorkSpaces Core.

Quando si completano le attività in questo articolo, la posizione della risorsa include i seguenti componenti:

• Un cloud privato virtuale (VPC) con sottoreti pubbliche e private all’interno di una singola zona di disponibilità.
• Un’istanza che funziona sia come controller di dominio Active Directory che come server DNS, situata nella sottorete privata del VPC.
• Un’istanza che funge da host bastion nella sottorete pubblica del VPC. Questa istanza viene utilizzata per avviare connessioni RDP alle istanze nella sottorete privata a scopo amministrativo. Dopo aver completato la configurazione della posizione della risorsa, è possibile arrestare questa istanza in modo che non sia più facilmente accessibile. Quando è necessario gestire altre istanze nella sottorete privata, come le istanze VDA, è possibile riavviare l’istanza dell’host bastion.

Panoramica delle attività

Configurare un cloud privato virtuale (VPC) con sottoreti pubbliche e private. Al completamento di questa attività, AWS distribuisce un gateway NAT con un indirizzo IP elastico nella sottorete pubblica. Questa azione consente alle istanze nella sottorete privata di accedere a Internet. Le istanze nella sottorete pubblica sono accessibili al traffico pubblico in entrata, mentre le istanze nella sottorete privata non lo sono.

Configurare i gruppi di sicurezza. I gruppi di sicurezza fungono da firewall virtuali che controllano il traffico per le istanze nel VPC. Si aggiungono regole ai gruppi di sicurezza che consentono alle istanze nella sottorete pubblica di comunicare con le istanze nella sottorete privata. Si associano inoltre questi gruppi di sicurezza a ogni istanza nel VPC.

Creare un set di opzioni DHCP. Con un Amazon VPC, i servizi DHCP e DNS sono forniti per impostazione predefinita, il che influisce sul modo in cui si configura il DNS sul controller di dominio Active Directory. Il DHCP di Amazon non può essere disabilitato e il DNS di Amazon può essere utilizzato solo per la risoluzione DNS pubblica, non per la risoluzione dei nomi di Active Directory. Per specificare il dominio e i server dei nomi assegnati alle istanze tramite DHCP, creare un set di opzioni DHCP. Il set assegna il suffisso del dominio Active Directory e specifica il server DNS per tutte le istanze nel VPC. Per garantire che i record Host (A) e Reverse Lookup (PTR) vengano registrati automaticamente quando le istanze si uniscono al dominio, si configurano le proprietà della scheda di rete per ogni istanza aggiunta alla sottorete privata.

Aggiungere un host bastion e un controller di dominio al VPC. Tramite l’host bastion, è possibile accedere alle istanze nella sottorete privata per configurare il dominio e unire le istanze al dominio.

Attività 1: Configurare il VPC

1. Dalla console di gestione AWS, selezionare VPC.
2. Dalla Dashboard VPC, selezionare Crea VPC.
3. Selezionare VPC e altro.
4. Sotto gateway NAT ($), selezionare In 1 AZ o 1 per AZ.
5. Sotto opzioni DNS, lasciare selezionato Abilita nomi host DNS.
6. Selezionare Crea VPC. AWS crea le sottoreti pubbliche e private, il gateway Internet, le tabelle di routing e il gruppo di sicurezza predefinito.

Attività 2: Configurare i gruppi di sicurezza

Questa attività crea e configura i seguenti gruppi di sicurezza per il VPC:

• Un gruppo di sicurezza pubblico da associare alle istanze nella sottorete pubblica.
• Un gruppo di sicurezza privato da associare alle istanze nella sottorete privata.

Per creare i gruppi di sicurezza:

1. Nella Dashboard VPC, selezionare Gruppi di sicurezza.
2. Creare un gruppo di sicurezza per il gruppo di sicurezza pubblico. Selezionare Crea gruppo di sicurezza e immettere un tag nome e una descrizione per il gruppo. In VPC, selezionare il VPC creato in precedenza. Selezionare Sì, crea.

Configurare il gruppo di sicurezza pubblico

1. Dall’elenco dei gruppi di sicurezza, selezionare il gruppo di sicurezza pubblico.

2. Selezionare la scheda Regole in entrata e selezionare Modifica per creare le seguenti regole:

   Tipo	Origine
   Tutto il traffico	Selezionare il gruppo di sicurezza privato.
   Tutto il traffico	Selezionare il gruppo di sicurezza pubblico.
   ICMP	0.0.0.0/0
   22 (SSH)	0.0.0.0/0
   80 (HTTP)	0.0.0.0/0
   443 (HTTPS)	0.0.0.0/0
   1494 (ICA/HDX)	0.0.0.0/0
   2598 (Affidabilità sessione)	0.0.0.0/0
   3389 (RDP)	0.0.0.0/0

3. Al termine, selezionare Salva.

4. Selezionare la scheda Regole in uscita e selezionare Modifica per creare le seguenti regole:

   Tipo	Destinazione
   Tutto il traffico	Selezionare il gruppo di sicurezza privato.
   Tutto il traffico	0.0.0.0/0
   ICMP	0.0.0.0/0

5. Al termine, selezionare Salva.

Configurare il gruppo di sicurezza privato

1. Dall’elenco dei gruppi di sicurezza, selezionare il gruppo di sicurezza privato.

2. Se non è stato configurato il traffico dal gruppo di sicurezza pubblico, è necessario impostare le porte TCP; selezionare la scheda Regole in entrata e selezionare Modifica per creare le seguenti regole:

   Tipo	Origine
   Tutto il traffico	Selezionare il gruppo di sicurezza privato.
   Tutto il traffico	Selezionare il gruppo di sicurezza pubblico.
   ICMP	Selezionare il gruppo di sicurezza pubblico.
   TCP 53 (DNS)	Selezionare il gruppo di sicurezza pubblico.
   UDP 53 (DNS)	Selezionare il gruppo di sicurezza pubblico.
   80 (HTTP)	Selezionare il gruppo di sicurezza pubblico.
   TCP 135	Selezionare il gruppo di sicurezza pubblico.
   TCP 389	Selezionare il gruppo di sicurezza pubblico.
   UDP 389	Selezionare il gruppo di sicurezza pubblico.
   443 (HTTPS)	Selezionare il gruppo di sicurezza pubblico.
   TCP 1494 (ICA/HDX)	Selezionare il gruppo di sicurezza pubblico.
   TCP 2598 (Affidabilità sessione)	Selezionare il gruppo di sicurezza pubblico.
   3389 (RDP)	Selezionare il gruppo di sicurezza pubblico.
   TCP 49152–65535	Selezionare il gruppo di sicurezza pubblico.

3. Quando hai finito, seleziona Salva.

4. Seleziona la scheda Outbound Rules e seleziona Modifica per creare le seguenti regole:

   Tipo	Destinazione
   Tutto il traffico	Seleziona il gruppo di sicurezza privato.
   Tutto il traffico	0.0.0.0/0
   ICMP	0.0.0.0/0
   UDP 53 (DNS)	0.0.0.0/0

5. Quando hai finito, seleziona Salva.

Attività 3: Avvia istanze

Esegui i seguenti passaggi per creare due istanze EC2 e decrittografare la password predefinita dell’amministratore generata da Amazon:

1. Dalla console di gestione AWS, selezionare EC2.
2. Dalla Dashboard EC2, selezionare Launch Instance.
3. Selezionare un’immagine della macchina Windows Server e un tipo di istanza.
4. Nella pagina Configure Instance Details, immettere un nome per l’istanza e selezionare il VPC configurato in precedenza.

5. In Subnet, effettuare le seguenti selezioni per ogni istanza:

   • Host bastion: Selezionare la subnet pubblica
   • Domain Controller: Selezionare la subnet privata

6. In Auto-assign Public IP address, effettuare le seguenti selezioni per ogni istanza:

   • Host bastion: Selezionare Enable.
   • Domain Controller: Selezionare Use default setting o Disable.
7. In Network Interfaces, immettere un indirizzo IP primario all’interno dell’intervallo IP della subnet privata per il Domain Controller.
8. Se necessario, nella pagina Add Storage, modificare le dimensioni del disco.
9. Nella pagina Tag Instance, immettere un nome descrittivo per ogni istanza.

10. Nella pagina Configure Security Groups, selezionare Select an existing security group e quindi effettuare le seguenti selezioni per ogni istanza:

    • Host bastion: Selezionare il gruppo di sicurezza pubblico.
    • Controller di dominio: Selezionare il gruppo di sicurezza privato.
11. Rivedere le selezioni e quindi selezionare Launch.
12. Creare una nuova coppia di chiavi o selezionarne una esistente. Se si crea una nuova coppia di chiavi, scaricare il file della chiave privata (.pem) e conservarlo in un luogo sicuro. È necessario fornire la chiave privata quando si acquisisce la password predefinita dell’amministratore per l’istanza.
13. Selezionare Launch Instances. Selezionare View Instances per visualizzare un elenco delle istanze. Attendere che l’istanza appena avviata abbia superato tutti i controlli di stato prima di accedervi.

14. Acquisire la password predefinita dell’amministratore per ogni istanza:

    1. Dall’elenco delle istanze, selezionare l’istanza e quindi selezionare Connect.
    2. Andare alla scheda RDP client, selezionare Get Password e caricare il file della chiave privata (.pem) quando richiesto.
    3. Selezionare Decrypt Password per ottenere la password leggibile. AWS visualizza la password predefinita.

15. Ripetere i passaggi dal passaggio 2 fino a quando non sono state create due istanze:

    • Un’istanza host bastion nella subnet pubblica
    • Un’istanza nella subnet privata da utilizzare come Controller di dominio.

Attività 4: Creare un set di opzioni DHCP

1. Dalla Dashboard VPC, selezionare DHCP Options Sets.

2. Immettere le seguenti informazioni:

   • Tag nome: Immettere un nome descrittivo per il set.
   • Nome di dominio: Immettere il nome di dominio completo che si utilizza quando si configura l’istanza del controller di dominio.
   • Server dei nomi di dominio: Immettere l’indirizzo IP privato assegnato all’istanza del controller di dominio e la stringa AmazonProvidedDNS, separati da virgole.
   • Server NTP: Lasciare vuoto questo campo.
   • Server dei nomi NetBIOS: Immettere l’indirizzo IP privato dell’istanza del controller di dominio.
   • Tipo di nodo NetBIOS: Immettere 2.

3. Selezionare Sì, crea.

4. Associare il nuovo set al VPC:

   1. Dalla Dashboard VPC, selezionare I tuoi VPC e quindi selezionare il VPC configurato in precedenza.
   2. Selezionare Azioni > Modifica set di opzioni DHCP.
   3. Quando richiesto, selezionare il nuovo set creato e quindi selezionare Salva.

Attività 5: Configurare le istanze

1. Utilizzando un client RDP, connettersi all’indirizzo IP pubblico dell’istanza host bastion. Quando richiesto, immettere le credenziali per l’account Amministratore.

2. Dall’istanza host bastion, avviare Connessione Desktop remoto e connettersi all’indirizzo IP privato dell’istanza che si desidera configurare. Quando richiesto, immettere le credenziali di Amministratore per l’istanza.

3. Per tutte le istanze nella subnet privata, configurare le impostazioni DNS:

   1. Selezionare Start > Pannello di controllo > Rete e Internet > Centro connessioni di rete e condivisione > Modifica impostazioni scheda. Fare doppio clic sulla connessione di rete visualizzata.
   2. Selezionare Proprietà > Protocollo Internet versione 4 (TCP/IPv4) > Proprietà.

   3. Selezionare Avanzate > DNS. Assicurarsi che le seguenti impostazioni siano abilitate e selezionare OK:

      • Registra gli indirizzi di questa connessione nel DNS
      • Usa il suffisso DNS di questa connessione nella registrazione DNS

4. Per configurare il controller di dominio:

   1. Utilizzando Server Manager, aggiungere il ruolo Servizi di dominio Active Directory con tutte le funzionalità predefinite.
   2. Promuovere l’istanza a controller di dominio. Durante la promozione, abilitare il DNS e utilizzare il nome di dominio specificato quando è stato creato il set di opzioni DHCP. Riavviare l’istanza quando richiesto.

Per informazioni sulle autorizzazioni AWS, vedere Autorizzazioni AWS richieste - Amazon EC2 e Autorizzazioni AWS richieste - Istanze gestite di Amazon WorkSpaces Core.

Passaggi successivi

• Installare i componenti principali
• Installare i VDA
• Creare un sito

• Per la creazione e la gestione delle connessioni, vedere:

  • Connessione ad AWS EC2
  • Connessione alle istanze gestite di Amazon WorkSpaces Core

Maggiori informazioni

• Crea e gestisci connessioni e risorse
• Crea cataloghi di macchine